Delegación de la administración de asignaciones de roles de Azure a otros usuarios con condiciones

Como administrador, puede obtener varias solicitudes para conceder acceso a los recursos de Azure que desea delegar a otra persona. Puede asignar a un usuario los roles Propietario o Administrador de acceso de usuario, pero estos son roles con privilegios elevados. En este artículo se describe una manera más segura de delegar la administración de asignaciones de roles a otros usuarios de la organización, pero se agregan restricciones para esas asignaciones de roles. Por ejemplo, puede restringir los roles que se pueden asignar o restringir las entidades de seguridad a las que se pueden asignar los roles.

En el diagrama siguiente se muestra cómo un delegado con condiciones solo puede asignar los roles Colaborador de copia de seguridad o Lector de copia de seguridad solo a los grupos marketing o ventas.

Prerrequisitos

Para asignar roles de Azure, debe tener:

• Microsoft.Authorization/roleAssignments/write permisos, como Administrador de control de acceso basado en roles o Administrador de acceso de usuario

Paso 1: Determinar los permisos que necesita el delegado

Para ayudar a determinar los permisos que necesita el delegado, responda a las siguientes preguntas:

• ¿Qué roles puede asignar el delegado?
• ¿A qué tipos de entidades de seguridad puede asignar roles el delegado?
• ¿A qué entidades de seguridad puede asignar roles el delegado?
• ¿Puede un delegado eliminar asignaciones de roles?

Una vez que conozca los permisos que necesita el delegado, siga estos pasos para agregar una condición a la asignación de roles del delegado. Para obtener condiciones de ejemplo, consulte Ejemplos para delegar la administración de asignaciones de roles de Azure con condiciones.

Paso 2: Iniciar una nueva asignación de roles

1. Inicie sesión en Azure Portal.

2. Siga los pasos para abrir la página Agregar asignación de roles.

3. En la pestaña Roles , seleccione la pestaña Roles de administrador con privilegios .

4. Seleccione el rol Administrador de control de acceso basado en roles.

   Aparece la pestaña Condiciones .

   Puede seleccionar cualquier rol que incluya las acciones Microsoft.Authorization/roleAssignments/write o Microsoft.Authorization/roleAssignments/delete, como Administrador de Acceso de Usuario, pero el Administrador de Control de Acceso Basado en Roles tiene menos permisos.

5. En la pestaña Miembros , busque y seleccione el delegado.

Paso 3: Agregar una condición

Hay dos maneras de agregar una condición. Puede usar una plantilla de condición o puede usar un editor de condiciones avanzada.

Paso 4: Asignación de roles con condición para delegar

1. En la pestaña Revisión y asignación, revise la configuración de la asignación de roles.

2. Seleccione Revisión y asignación para asignar el rol.

   Después de unos instantes, al delegado se le asigna el rol Administrador de control de acceso basado en roles con las condiciones de asignación de roles.

Paso 5: Delegar asigna roles con condiciones

• El delegado ahora puede seguir los pasos para asignar roles.

  

  Cuando el delegado intenta asignar roles en Azure Portal, la lista de roles se filtrará para mostrar solo los roles que pueden asignar.

  

  Si hay una condición para las entidades de seguridad, también se filtrará la lista de entidades de seguridad disponibles para la asignación.

  

  Si el delegado intenta asignar un rol que está fuera de las condiciones mediante una API, se produce un error en la asignación de roles. Para obtener más información, vea Síntoma: no se puede asignar un rol.

Edición de una condición

Hay dos maneras de editar una condición. Puede usar la plantilla de condición o puede usar el editor de condiciones.

1. En Azure Portal, abra la página Control de acceso (IAM) para la asignación de roles que tiene una condición que desea ver, editar o eliminar.

2. Seleccione la pestaña Asignaciones de roles y busque la asignación de roles.

3. En la columna Condición , seleccione Ver/Editar.

   Si no ve el vínculo Ver o editar, asegúrese de estar viendo el mismo ámbito de la asignación de roles.

   

   Aparece la página Agregar condición de asignación de roles . Esta página tendrá un aspecto diferente en función de si la condición coincide con una plantilla existente.

4. Si la condición coincide con una plantilla existente, seleccione Configurar para editar la condición.

   

5. Si la condición no coincide con una plantilla existente, use el editor de condiciones avanzadas para editar la condición.

   Por ejemplo, para editar una condición, desplácese hacia abajo hasta la sección expresión de compilación y actualice los atributos, el operador o los valores.

   

   Para editar la condición directamente, seleccione el tipo de editor de Código y, a continuación, edite el código de la condición.

   

6. Cuando termine, haga clic en Guardar para actualizar la condición.

Pasos siguientes

• Delegar la administración de acceso de Azure a otros usuarios
• Acciones y atributos de autorización